Akzentzeichen im Passwort

Akzentzeichen helfen, das Passwort sicherer zu machen. Allerdings gibt es weitere Regeln zu beachten, möchte man solche Passwörter verwenden. Dazu zählen Passwort-Grundregeln, sowie spezielle Regeln bei Verwendung dieser Sonderzeichen. Was zu beachten ist, und wie das Erstellen eines solchen Passwortes funktioniert, beschreibt dieser Artikel.

Je länger Passwörter sind, oder umso mehr Zeichen sie verwenden, desto sicherer sind diese. Diese Formel nennt man in der IT-Sicherheit auch Entropie. Üblicherweise verwendet man Zeichen aus dem ASCII-Zeichensatz, also [a-zA-Z0-9].

Zusätzliche Zeichen im Passwort

Folgende Zeichen kommen durch Akzentzeichen und Apostrophe hinzu:

• ´, `, ’ und ‚.
• é, á, ú, ó, í sowie die Großbuchstaben É, Á, Ú, Ó, Í und ggf. weitere.
• è, à, ù, ò, ì, È, À, Ù, Ò, Ì und ggf. weitere.
• ggf. weitere akzentähnliche Zeichen wie die Diaräse: ¨ + i = ï (und weitere).

Wichtige Passwort-Regeln

Viele Brute-Force-Hacktools verwenden Wörterbücher, die diese Zeichen nicht enthalten. Auch enthalten gängige Rainbow-Tabellen kaum Passwörter mit diesen Zeichen. Die Sicherheit des Passwortes erhöht sich also erheblich, wenn man die folgenden sieben Regeln beachtet:

1. Jedes Passwort wird einmalig verwendet – der Google-Account erhält ein anderes Passwort als z.B. web.de.
2. Die Passwörter müssen mindestens acht (8) Zeichen lang sein, besser über zehn (10). Sonst bringen die Sonderzeichen nichts bzw. nicht viel.
3. Die Passwörter müssen zusätzlich mindestens einen Großbuchstaben, einen Kleinbuchstaben und eine Zahl enthalten.
4. Worte, Merksätze oder ähnliches dürfen nicht als Vorlage für das Passwort dienen. Passwörter wie »dWuúd7G« (»der Wolf und die sieben Geißlein«) sind schwach – auch mit dem Akzentzeichen. Selbiges gilt für Produktnamen (»Samsúng« ist kein besseres Passwort als »Passwort123«).
5. Notizen (z.B. Klebezettel in der Schublade) vom Passwort sind nicht zulässig. Sie dürfen an keiner Stelle notiert sein. Auch nicht digital, sprich: Nicht im Handy, nicht im Mail-Account und auch nicht als Datei in der Dropbox.
6. Das Akzentzeichen darf im Passwort an beliebiger Stelle vorkommen – egal ob am Anfang, zwischendrin oder am Ende.
7. Passwörter dürfen auch sonst nicht generierbar sein, etwa mit Geburtsdatum + Dienstname. Der Dienstname (YouTube, web.de, etc.) darf zwar im Passwort vorkommen, sollte aber nicht das einzige Alleinstellungsmerkmal des Passwortes sein. Auch hilft es nicht, lediglich das Akzentzeichen an beliebiger Stelle einzusetzen (z.B. YoùTube, wéb.dè).

Wer diese goldenen Regeln beachtet, erhöht mit einem Akzentzeichen im Passwort die Sicherheit seines Kontos ganz massiv.

Passwörter generieren

Das Generieren eines sicheren Passwortes ist eine Wissenschaft für sich. Dennoch gibt es auch hier ein paar einfache Regeln, die helfen, auf dem sicheren Weg zu bleiben.

Passwörter mit Akzentzeichen lokal generieren

Der erste Punkt: Die Passwörter sollten lokal, also auf einem eigenen System, generiert werden. Passwortgeneratoren im Netz oder auf fremden Systemen sind potentiell abhörgefährdet und sollten daher nicht verwendet werden. Im Folgenden gibt es daher ein paar Beispiele für Passwortgeneratoren.

Mehrere Passwörter generieren

Der Generator sollte jeweils bis zu sechzehn (16!) Passwörter generieren. Falls das System kompromittiert ist, weiß der Angreifer somit möglicherweise nicht, welches Passwort verwendet wurde. Auf potentiell kompromittierten Systemen sollten aber am Besten gar keine Passwörter generiert werden.

Windows/Mac/Linux: KeePassX

KeePass ist ein beliebter Passwortmanager für Windows, das Tool KeePassX ist in etwa eine Portierung auf beliebige Betriebssysteme. Neben dem Verwalten  von Passwörtern erlaubt es auch die Generierung sicherer Passwörter.

Linux: pwgen

Der Kernel-Hacker und Filesystem-Betreuer Theodore Ts’o hat mit pwgen einen Passwortgenerator für die Shell entwickelt, der leicht merkbare Passwörter generiert, die trotzdem gut zu merken sind. Dabei können auch ähnlich aussehende Buchstaben ausgelassen werden. Das  Tool erstellt ohne Parameter 120 Passwörter in mehreren Spalten, die acht Zeichen lang sind. Besonders sichere Passwörter erstellt man mit dem Befehl pwgen -s -y 12.

Probleme mit Akzentzeichen

Einige Dienste Antworten mit Meldungen wie der folgenden.

Das Passwort darf keine Akzentzeichen enthalten.

Bei diesen Diensten ist Vorsicht geboten! Da das Passwort nicht im Klartext in der Datenbank des Anbieters gespeichert wird, gibt es für diese Beschränkung keinerlei (technische) Gründe. Wahrscheinlich handelt es sich daher eher um eine schlecht durchdachte Passwortrichtlinie. Die Vermutung liegt nahe, dass eventuell die gesamte Sicherheitsinfrastruktur des Anbieters Defizite aufweisen könnte. Von der Nutzung solcher Dienste ist daher abzuraten.

Weblinks

• Mehr zum Thema sichere Passwörter inkl. Schemata zum Merken:
  http://blog.bmarwell.de/mit-wikipedia-passworter-knacken/
• Weitere Passwort-Tipps vom Kryptographen Bruce Schneier (engl.):
  https://www.schneier.com/blog/archives/2009/08/password_advice.html
• Häufige Fragen zum Thema »sichere Passwörter«, vom Fachmagazin c’t:
  http://www.heise.de/ct/hotline/FAQ-Passwoerter-2056097.html